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BRIEF VAN DE STAATSSECRETARIS VAN VOLKSGEZONDHEID, 
WELZIJN EN SPORT 


Aan de Voorzitter van de Tweede Kamer der Staten-Generaal 
Den Haag, 4 februari 2015 

Tijdens de Regeling van Werkzaamheden van 3 februari jl. heeft het 
Kamerlid Keijzer verzocht om een brief over de uitgevoerde IT-audits bij 
de SVB naar aanleiding van de invoering van de PGB trekkingsrechten 
(Handelingen II 2014/15, nr. 49). Met deze brief reageer ik op dit verzoek. 

Vanuit het Ministerie van VWS is intensief regie gevoerd op de implemen¬ 
tatie van trekkingsrechten. Daarbij is niet alleen een IT-audit uitgevoerd, 
maar ook twee gateway reviews en een privacy impact assessment. 

De betreffende rapporten zijn, conform de daarvoor geldende afspraken, 
vermeld bij de externe kwaliteitstoetsen in de rapportage grote en 
hoogrisico ICT-projecten van het rijk. Zie https://www.rijksictdashboard.nl/ 
projecten/160200. Deze rapporten treft u als bijlage bij deze brief aan 1 . Het 
openbaar maken van gateway reviews is niet gebruikelijk, maar gezien de 
nadrukkelijke wens van uw Kamer om deze informatie te ontvangen, bied 
ik u de rapporten toch aan. 

Privacy impact assessement mei 2014 

Op 29 mei 2015 heeft Duthler Associates een privacy impact assessment 
(PIA) op het trekkingsrecht programma opgeleverd. VWS had als 
opdrachtgever gevraagd om de voorgenomen vormgeving van trekkings¬ 
recht te toetsen op pricacy-aspecten en daarbij uit te gaan van de 
voornemens in de Jeugdwet, de Wmo 2015 en de Wet Langdurige Zorg. 

De belangrijke conclusies die in dit rapport getrokken worden is dat de 
SVB gerechtigd is het BSN van budgethouders te gebruiken en dat er een 
wettelijke grondslag voor de SVB is om medische gegevens te verwerken. 
Dit laatste enkel met in acht name van het noodzakelijkheidcriterium. 
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Gezien de strikte naleving hiervan door het CBP is er een noodzakelijk- 
heidstoets uitgevoerd door VWS in samenwerking met de SVB. 

Uit deze toets is gebleken dat voor de uitvoering van de taak van de SVB 
het niet noodzakelijk is om te beschikken over medische gegevens die 
blijken uit zorgbeschrijvingen. Naar aanleiding van deze uitkomst is het 
uitvraagproces van zorgovereenkomsten aangepast voor de budget¬ 
houders die onder het zorgkantoor vallen. De zorgbeschrijving blijft bij het 
zorgkantoor, alleen de overeenkomst gaat naar de SVB. 

Gateway review maart 2014 

Op 27 maart 2014 heeft Bureau Gateway (Ministerie van BZK) een eerste 
Gateway Review opgeleverd. Het doel van die review was om vast te 
stellen of het onderzochte traject voldoende basis bood om een succes¬ 
volle invoering en werking van het trekkingsrechtsysteem voor het PGB 
mogelijk te maken en of bijsturing (op bepaalde projectonderdelen) 
wenselijk is dan wel noodzakelijk werd geacht. Ten tijde van deze review 
was het voornemen om de trekkingsrechten per 1-7-2014 in te voeren 
voor nieuwe cliënten en per 1-1-2015 voor bestaande budgethouders. 

Het Review Team kwam, op basis van de bevindingen in de review, tot het 
oordeel dat zonder ingrijpende wijzigingen de invoering van de trekkings¬ 
rechten PGB op 1 juli 2014 respectievelijk 1 januari 2015 niet of nauwelijks 
haalbaar was. Een belangrijke aanbeveling was dat VWS de sturing en 
regie nadrukkelijker naar zich toe moest halen. 

Deze aanbeveling is door VWS opgevolgd. In april is een programmama¬ 
nager aangesteld met als opdracht deze regierol ter hand te nemen. 
Tevens is mede naar aanleiding van de uitkomsten van de Gateway 
besloten om de invoering van trekkingsrechten uit te stellen tot 1-1-2015. 
Ook is vastgesteld dat er later dat jaar opnieuw een gateway review 
uitgevoerd moest worden om de haalbaarheid van de geplande invoering 
opnieuw te toetsen. 

IT-audit september 2014 

Tussen 27 augustus en 30 september 2014 heeft een IT-audit plaatsge¬ 
vonden. Deze audit uitgevoerd op verzoek van het Ministerie van VWS en 
in opdracht van de Raad van Bestuur van de SVB door Deloitte Risk 
Services onder aansturing en verantwoordelijkheid van de Auditdienst 
SVB. Het Ministerie van VWS heeft dit verzoek gedaan om te borgen dat 
er goed zicht is op de voortgang van het project op drie IT-gerelateerde 
aspecten. De doelstelling van het onderzoek was ook om inzicht te 
verschaffen in de feitelijke situatie ten aanzien van deze IT-gerelateerde 
aspecten. De resultaten van dit onderzoek zijn neergeslagen in een 
bevindingenrapport en stelden de Raad van Bestuur van de SVB in de 
gelegenheid om aan het Ministerie van VWS te rapporteren over de 
voortgang op deze aspecten van het project. 

Het bevindingenrapport stelde de SVB tevens in staat om voor de 
onderzochte aspecten aanvullende eisen te formuleren en gericht actie te 
ondernemen. 

Het onderzoek omvatte een drietal specifieke aandachtsgebieden, die ten 
tijde van het IT-onderzoek door het Ministerie van VWS werden 
beschouwd als risicovolle aspecten in de voorbereiding op de uitvoering 
van de trekkingsrechten PGB door de SVB. Het betrof de aspecten 
beveiliging, «performance» en haalbaarheid om op 1 januari 2015 te 
starten met de uitvoering. 
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De resultaten van het onderzoek zijn beschreven in een bevindingen¬ 
rapport (d.d. 15 oktober 2014). In dit bevindingenrapport is tevens te zien 
aan de hand van welke vragen Deloitte haar onderzoek heeft uitgevoerd. 
Op basis van dit rapport heeft de Auditdienst van de SVB aanbevelingen 
geformuleerd voor de SVB. De belangrijkste zijn: 

• Op het terrein van de «performance» gold dat ten tijde van het 
onderzoek de belangrijkste aanbeveling betrekking had op de 
responstijd van de portals waar mensen gebruik van maken. De 
aanbeveling was om de responstijd continu te monitoren en om, als de 
responstijd onder een bepaalde norm zakte, snel in te grijpen om deze 
responstijd te verkorten. De SVB heeft deze aanbeveling opgevolgd. 

• Voor de portals werd bevonden dat deze goed beveiligd zijn en 
voldoen aan de relevante ISO normen. Wel is aanbevolen om een 
risicoanalyse uit te voeren, die extra uitgangspunten biedt om de 
veiligheid in de komende tijd verder te verhogen. De SVB heeft deze 
risicoanalyse onderhanden. 

• Ten aanzien van de haalbaarheid van de invoeringsdatum 1-1-2015 
was de belangrijkste aanbeveling om de wensen en eisen zo concreet 
mogelijk vast te stellen en gedurende verdere ontwikkeling niet meer 
te wijzigen. Om dit te realiseren is er door de SVB een Change 
Advisory Board ingesteld die wensen inventariseert, specificeert en de 
realisatie registreert. Voor de deadline van 1 januari gold dat de 
ingezette acties van de SVB hebben geleid tot het tijdig in productie 
nemen van de applicatie die nodig was om het systeem van trekkings¬ 
rechten in gebruik nemen. 

Het onderzoek betrof specifiek overeengekomen werkzaamheden, 
resulterend in een rapport van feitelijke bevindingen. Het onderzoek is niet 
uitgevoerd in het kader van een assurance opdracht, derhalve wordt geen 
oordeel en of conclusie weergegeven in de rapportage. 

Gateway review september 2014 

Op 23 september 2014 heeft Bureau Gateway een tweede review 
opgeleverd over de invoering van de trekkingsrechten pgb. Het doel van 
deze gateway was om te bezien of de gehanteerde aanpak en geplande 
activiteiten voor de komende periode passen en toereikend waren. 

Het Gateway Reviewteam was van mening dat de datum van 1 januari 
2015 voor implementatie van het vastgestelde ambitieniveau voor het 
stelsel van trekkingsrechten PGB haalbaar was. Men constateerde tevens 
dat een aantal maatregelen om dit te realiseren moest worden genomen. 
Daarnaast constateerde men een sterke afhankelijkheid van het goed 
verlopen van de gegevensuitwisseling tussen partijen. 

Voor alle aanbevelingen zijn acties en maatregelen geformuleerd. Daarbij 
is prioriteit gegeven aan de aanbevelingen die relevant waren voor de 
invoering per 1 januari 2015. 

De Staatssecretaris van Volksgezondheid, Welzijn en Sport, 

M.J. van Rijn 
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